Reddit menilai HTML biasa tidak aman

• Reddit mulai mewajibkan login karena menganggap penggunaan Old Reddit saat logout sebagai sumber utama scraping berbahaya dan trafik otomatis, tetapi New Reddit masih bisa diakses tanpa login
• Old Reddit menyajikan sebagian besar postingan dan komentar dalam HTML biasa, mengunduh sekitar 1MB dan mengirim 0,5MB, sedangkan New Reddit yang memerlukan JavaScript memuat data sekitar 5 kali lebih banyak
• Dalam eksperimen peramban yang terbatas, New Reddit juga bisa menerima teks komentar hanya dengan sebagian JavaScript dan permintaan API komentar, sehingga belum dipastikan apakah perubahan ini benar-benar menghentikan scraping
• Old Reddit memuat 200 komentar sejak awal, sedangkan New Reddit hanya 25 dan setelah digulir pun hanya sekitar 35, sehingga jelas ada alasan scraper lebih memilih Old Reddit yang lebih ringkas
• Daripada alasan “keamanan” yang samar, Reddit seharusnya menyatakan langsung bahwa tujuannya adalah menekan scraping atau menghentikan layanan, karena pemaksaan login menciptakan hambatan yang tidak perlu bagi pengguna yang hanya ingin membaca hasil pencarian buatan manusia

---

Reddit dan hasil pencarian yang ditulis manusia

• Reddit dianggap sebagai perusahaan yang mengekstrak nilai sebanyak mungkin dari komunitas buatan pengguna sambil menampung banyak forum populer
• Di era LLM, data buatan manusia menjadi sangat bernilai, sehingga postingan komunitas Reddit menjadi aset yang makin penting
• Kontroversi API Reddit di masa lalu juga berujung pada upaya mengambil kembali nilai dari komunitas
• Dengan menambahkan site: reddit.com pada kata kunci pencarian, orang lebih mudah menemukan hasil yang benar-benar ditulis manusia, sehingga bahkan tanpa aktif memakai Reddit, hasil pencariannya tetap layak dikunjungi

Kewajiban login di Old Reddit

• old.reddit.com adalah frontend desain lama Reddit, tetapi kini sulit dipakai secara normal saat logout
• Sebagian kecil pengguna Firefox dan NoScript sudah berulang kali mengalami produk yang tadinya berfungsi didorong ke status tidak didukung
  • Ponsel berusia 8 tahun dan tablet berusia 10 tahun menjadi tidak bisa dipakai karena sistem operasinya dianggap terlalu lama
  • API yang dipakai aplikasi Stack Exchange yang sudah hilang dari app store juga dihentikan
• Reddit menjelaskan langkah ini sebagai upaya “menjaga Reddit tetap aman”, tetapi tidak jelas ancaman apa yang diberikan pengguna yang hanya ingin mengakses pengetahuan di platform itu

Masalah scraping menurut Reddit

• Menurut pengumuman resmi Reddit, penggunaan Old Reddit saat logout adalah sumber utama scraping berbahaya dan trafik otomatis
• Karena New Reddit masih dapat diakses saat logout, alasan membatasi hanya Old Reddit tetap menimbulkan pertanyaan
• Komentar terkait menilai metode trafik berbahaya terus berubah sehingga pemblokiran dan penghindaran terus berulang; deteksi setelah kejadian mudah, tetapi pencegahan lebih dulu sulit
• Ada tafsiran bahwa Old Reddit tidak memiliki stack keamanan modern, sehingga lebih sulit menghadapi trafik otomatis, dan administrator Reddit menjadikannya sebagai jawaban

Cara kerja Old Reddit dan حجم transfer

• Setelah login dan meneliti thread pengumuman, terlihat bahwa Old Reddit menyajikan sebagian besar konten pengguna dalam HTML biasa
• Kecuali saat memuat komentar tambahan, halaman bisa dibaca tanpa JavaScript
• Halaman yang diukur mengunduh sekitar 1MB dan mengirim 0,5MB, dan sebagian besar respons berupa HTML
• Respons memerlukan sekitar 2 detik, dan untuk ukurannya kira-kira 4 kali lebih lambat daripada GitHub
  • Belum dipastikan apakah itu karena pembatasan kecepatan atau memang Reddit sendiri lambat
• Permintaan komentar tambahan diproses dengan ringkas dan cepat, dan tidak ditemukan masalah keamanan mencolok yang berbeda dari halaman web biasa

Ketergantungan New Reddit pada JavaScript

• New Reddit hampir tidak bisa memuat konten selain postingan tanpa JavaScript
• Total muatannya sekitar 5 kali Old Reddit; pengujian dilakukan bukan dengan menembus sistem keamanan secara tepat, melainkan menyisakan hanya permintaan minimum yang diperlukan browser untuk mengambil konten
• Halaman tetap bisa dimuat hanya dengan mengizinkan permintaan berikut
  • www.redditstatic.com/js/concat
  • www.reddit.com/svc/shreddit/more-comments/
  • www.reddit.com/svc/shreddit/comment/
• Saat filter diterapkan, tombol komentar tambahan terus tampak memuat, tetapi respons permintaan sebenarnya berisi teks komentar
• Karena informasi komentar bisa diterima hanya dengan menjalankan JavaScript halaman dan mengirim permintaan yang diperlukan, tidak jelas apakah eksekusi JavaScript benar-benar menjadi penghalang utama bagi scraper

CAPTCHA dan pengiriman perilaku pengguna

• Saat halaman dimuat ulang berkali-kali dan komentar serta balasan dimuat, sebagian besar percobaan tidak gagal
• Dalam satu eksperimen ketika filter permintaan dilepas, field captcha dikirim sebagai parameter kueri bersama redirect, tetapi gejala yang sama tidak berhasil direproduksi
• Belum dipastikan apakah captcha juga muncul saat API komentar dipanggil langsung berulang kali
• New Reddit mengirim sinyal heartbeat ke Reddit setiap kali pengguna menggulir atau menggerakkan kursor

Batas efektivitas penekanan scraping

• Ini tampak lebih sebagai langkah Reddit untuk mempersulit scraping atas data buatan pengguna yang bernilai, ketimbang masalah keamanan pada frontend itu sendiri
• Ini bukan bukti bahwa New Reddit masih bisa discrape sepenuhnya, dan ada kemungkinan pekerjaannya memang lebih sulit daripada Old Reddit
• Alasan scraper lebih menyukai Old Reddit adalah karena halamannya lebih ringkas dan memuat lebih banyak komentar sejak awal
  • Old Reddit memuat 200 komentar sejak awal
  • New Reddit awalnya hanya memuat 25 komentar, lalu bertambah otomatis hingga sekitar 35 saat digulir
• New Reddit mengganti tampilan lama yang berpusat pada HTML biasa menjadi struktur sekitar 5 kali lebih berat yang bergantung pada web component dan sejenisnya, sehingga browser menerima lebih banyak data dan melakukan lebih banyak pekerjaan
• Ini mungkin menaikkan biaya scraping dengan memperberat beban browser, tetapi efek pemblokiran nyatanya belum terkonfirmasi

Penolakan terhadap alasan “keamanan”

• Jika Reddit diam-diam menerapkan respons 30X·40X pada old.reddit.com atau mengatakan layanan itu dihapus karena penggunanya sedikit, keputusan itu mungkin tetap menjengkelkan tetapi masih bisa diprediksi
• Penolakan yang lebih besar muncul karena cara akses yang tadinya berfungsi normal diambil dengan alasan keamanan dan scraping yang samar dan tidak terkait langsung dengan pengguna nyata
• Seperti pada Anubis, jika kebutuhannya bisa dipahami, ada kemauan untuk mengaktifkan JavaScript; jadi inti penolakannya bukan pada JavaScript itu sendiri, melainkan ketidaksesuaian antara penjelasan dan tindakan
• Blog pribadi pun, seperti Old Reddit, menyajikan teks dalam HTML biasa, tetapi berbeda karena konten itu sejak awal memang milik operatornya sendiri, tidak seperti konten buatan pengguna di Reddit

Pilihan yang tersisa dan kekhawatiran

• Pengguna memang masih bisa login, tetapi tetap ada ketidakpuasan karena dipaksa menjalani prosedur yang sebelumnya tidak perlu
• Mungkin harus memakai New Reddit, dan tidak jelas apakah Reddit akan terus mempertahankan dukungan untuk Old Reddit
• Ada kekhawatiran bahwa jika Reddit menganggapnya memungkinkan, di masa depan akses logout ke New Reddit juga bisa diblokir
• Yang diinginkan adalah internet tempat orang bisa langsung mencari dan membaca teks yang ditulis manusia, bukan lingkungan yang memaksa orang melewati LLM raksasa dan mahal hanya untuk membaca tulisan nyata orang lain
• Diskusi terkait juga diposting di Lobste.rs

[GN⁺]

Pendapat Lobste.rs

• Contoh terbaik yang menunjukkan enshittification media sosial adalah transisi dari Reddit lama ke Reddit baru. Versi lama memang usang, tetapi cepat dan ringkas, tidak membebani browser, bisa memuat puluhan balasan, dan bagian yang merepotkan masih bisa diperbaiki dengan alat seperti RES atau Toolbox
  Setiap beberapa bulan saya mencoba memakai versi baru lagi, tetapi meski sudah hampir 15 tahun sejak saya mendaftar, tetap sulit beradaptasi. Dua sidebar besar memakan ruang, proses membuka posting lambat dan membingungkan, dan saat memuat rangkaian komentar halaman kadang dimuat ulang sehingga konteksnya hilang
  Memang ada fitur bagus seperti posting gambar, polling, dan alat moderasi baru, tetapi saya tetap memakai versi lama. Juga tampaknya kecil kemungkinan perusahaan akan kembali memprioritaskan kenyamanan pengguna, dan posisi mereka yang dulu mengatakan versi lama akan didukung tanpa batas waktu baru-baru ini melemah menjadi “untuk saat ini tidak”, yang terasa sebagai pertanda buruk

  • Web lama dan Old Reddit, yang dulu punya banyak komunitas kecil dan sosial, terus mengalami kemunduran. Jika Old Reddit juga ditutup, pengguna yang tersisa akan pergi atau menghapus akun mereka, sehingga kemundurannya akan makin cepat, dan saya pasti termasuk salah satunya
    /r/rust yang sering saya ikuti juga kemungkinan besar akan runtuh setelah kehilangan moderator dan sebagian besar pengguna lama. Seiring Rust makin matang dan terlalu arus utama, kualitasnya juga turun jauh dibanding 10 tahun lalu. Reddit baru lebih cocok dengan arah yang diinginkan perusahaan, tetapi bagi web lama ini adalah produk yang sepenuhnya berbeda dan tanpa harapan
  • Sulit dipercaya, tetapi saya juga memakai Old Reddit di ponsel. Meski tulisannya kecil, tetap jauh lebih cepat
  • Menyebut ini kasus paling parah adalah penilaian yang berani. Facebook, yang menyisipkan konten pemicu kemarahan politik dan konten AI berkualitas rendah ke feed tempat orang melihat kabar teman dan keluarga, juga harus masuk peringkat atas
  • Tampilan desktop Reddit baru secara umum membuat isi lebih sulit dipahami. Menelusuri judul yang menarik perhatian atau mengetahui apa yang relevan juga jadi lebih sulit

• Masalah utamanya adalah slogan promosinya ditulis sebagai “demi keamanan”, bukan “untuk mengurangi beban scraping di server”. Bagi operator situs web saat ini, beban scraping adalah kekhawatiran yang sangat masuk akal, dan sisanya meski menjengkelkan tetap agak melenceng dari masalah yang sebenarnya
  Aplikasi lampu Philips Hue juga selama bertahun-tahun menampilkan banner “demi keamanan” sambil mengatakan bahwa nantinya lampu tidak bisa dikendalikan tanpa akun. Keamanan yang sesungguhnya adalah menjaga semua komunikasi tetap berada di dalam jaringan saya, bukan membawa masuk server eksternal dan sistem autentikasi eksternal hanya untuk mengendalikan perangkat di jaringan rumah. Untungnya sejauh ini itu baru sebatas peringatan dan masih berfungsi baik tanpa akun

  • Sekarang saya mulai membaca “demi keamanan” sebagai “demi keamanan bisnis kami”
  • Menghalangi bot jelas termasuk pekerjaan keamanan, jadi saya tidak yakin ungkapan itu benar-benar salah
  • Jengkel dengan omongan soal keamanan dari Hue, saya akhirnya pindah ke kombinasi Raspberry Pi, dongle deCONZ, Node-RED/Homebridge, dan sejak itu sama sekali tidak menyesal
  • Layar login mengatakan “demi keselamatan”, slogan promosinya “demi keamanan”, tetapi arti sebenarnya adalah mencegah scraping untuk melindungi Reddit sendiri. Saat mencoba memastikan apakah Reddit baru memang lebih sulit discrape, pada akhirnya yang tersisa hanya fakta bahwa itu adalah web app yang rumit
    Saya prihatin pada situs kecil yang terdampak scraper, tetapi saya tidak terlalu bersimpati pada Reddit. Jika Google dan lainnya telah membayar mahal untuk akses API, saya tidak melihat alasan mengapa akses tanpa login tidak bisa tetap didukung selama Old Reddit masih dianggap layak dipertahankan. Saya rasa saya juga pernah melihat pengalihan CAPTCHA, jadi saya juga bertanya-tanya apakah menambahkannya ke Old Reddit memang sesulit itu
    Tebakan sinisnya, seseorang memasang batas kecepatan 2 detik di Old Reddit, melihat angka scraping tetap sama, lalu memutuskan untuk menutupnya, dan setelah konflik internal muncullah kompromi seperti sekarang

• Dalam bidang seperti ini, kebohongan terang-terangan sangat sering terjadi dan terlalu sering dibiarkan. Cloudflare pun sampai beberapa bulan lalu menampilkan “Anda perlu meninjau keamanan koneksi sebelum melanjutkan ke example.com”, lalu baru belakangan ini menggantinya dengan penjelasan yang lebih jujur bahwa layanan pemblokiran bot berbahaya sedang memverifikasi pengguna
  Alasan Google menghapus XSLT juga serupa. Awalnya mereka menyebut keamanan sebagai alasan utama, tetapi sebelum penghapusan sungguhan dimulai, mereka sendiri membatalkan logika keamanan itu dengan menyediakan pengganti yang sepenuhnya kompatibel dalam bentuk ekstensi. Meski begitu, pada tahap penghapusan nyata mereka tetap mengatakan “demi keamanan”, padahal seharusnya mereka jujur menyampaikan alasan lain yang sah. Bukan karena semua vendor browser ingin menghapus XSLT, melainkan cara Google membungkusnya yang mengganggu

• Perusahaan suka mengatakan apa pun “demi keselamatan”. Dulu sekali saya diberi tahu di minimarket bahwa saya tidak boleh masuk sambil membawa tas kecil portabel, demi keselamatan saya dan pelanggan lain. Memang tas kosong bisa dipakai memukul seseorang dan toko mungkin pernah dirampok, tetapi kekhawatiran yang sebenarnya hampir pasti adalah pencurian
  Saya justru akan lebih menghormatinya kalau mereka jujur mengganti “keselamatan” dengan “untuk menjaga dan meningkatkan margin keuntungan”. Tujuan bisnis adalah menghasilkan uang, itu sudah jelas

• Cukup gunakan frontend privasi baca-saja Reddit seperti redlib, libreddit, teddit bersama plugin pengalihan seperti libredirect. Selain para pengembang antarmuka itu, tidak ada alasan bagi siapa pun untuk menanggung langsung aksi semena-mena terbaru Reddit

• Dengan memakai old.reddit.com, orang bisa melewati penghalang login untuk subreddit 18+ yang mencakup bukan hanya topik seksual tetapi juga konten sensitif lainnya
  Bagi orang yang ingin mengakses topik tertentu tanpa akun Reddit, perubahan kali ini lebih buruk. Reddit tetap merupakan sumber materi yang sangat besar, jadi saya sering menambahkan site:reddit.com ke kata pencarian

• Saat Reddit juga menghapus JSON API, alat seperti lurker(https://tangled.org/oppi.li/lurker) yang memungkinkan orang melihat Reddit tanpa akun, tanpa penghalang login, dan tanpa JavaScript juga ikut terblokir. Saya sudah tahu ini akan terjadi suatu hari nanti, dan data buatan pengguna berkualitas tinggi tampaknya adalah benteng pertahanan Reddit

• Old Reddit juga tidak “aman” bagi kepentingan bisnis Reddit. Reddit baru sekarang bahkan menolak bekerja di ponsel dan memaksa pengguna beralih untuk mengunduh aplikasi, dan di aplikasi pemblokir iklan biasa juga tidak berfungsi, sehingga Reddit bisa mengendalikannya jauh lebih kuat daripada di browser. Sementara itu, situs lama masih bisa dipakai di ponsel

  • Gunakan “Minta situs desktop” di browser untuk menghindari paksaan ke aplikasi

• Di Reddit dan HN saya juga sering melihat bot yang jelas dan pemasaran promosi. Salah satu dari sedikit tempat saya masih berinteraksi online adalah lobste.rs, karena di sana sebagian besar masih terasa seperti manusia sungguhan

• Setelah membaca komentar di Reddit baru di ponsel sampai titik tertentu, akan muncul penghalang instalasi aplikasi yang tidak bisa ditutup dan memaksa pesan “Reddit lebih baik di aplikasi”. Satu-satunya cara menghindarinya tanpa memasang aplikasi adalah Old Reddit
  Rupanya melihat situs web mobile yang dibuat dengan baik lebih dari satu atau dua halaman dianggap tidak “aman”, dan penutupan Old Reddit tampaknya dimaksudkan untuk menutup celah di jalur masuk instalasi aplikasi ini